Veiligheid

AI schrijft mee aan code, leest mee in data en draait mee in werkprocessen. Daarmee groeit het aantal plekken waar iets mis kan gaan: rechten van agents, data die een tool te zien krijgt, code die niemand nog regel voor regel leest.

Wij bouwen veiligheid in vanaf het begin, in de code, op het dataplatform en in de manier van werken. Niet als controle achteraf.

Wat er verandert

De risico’s zelf zijn niet nieuw. Onveilige afhankelijkheden, te ruime rechten en gevoelige data op de verkeerde plek bestonden al. Wat verandert is de snelheid en de schaal. Een coding agent schrijft in een middag wat een team vroeger in een week bouwde, inclusief de bibliotheken die het model koos. Een assistent die vragen beantwoordt over je eigen data, ziet die data ook. En een medewerker die een klantbestand in een chatvenster plakt om tijd te besparen, doet dat meestal met de beste bedoelingen.

Wat vroeger af en toe een review kreeg, komt nu vele malen vaker voorbij. Dat vang je niet op met een extra controle aan het eind.

Wat wij doen

Veilig ontwikkelen, ook als een model meeschrijft

Veilige patronen voor authenticatie, invoer en afhankelijkheden, ook in code die een agent heeft geschreven. Securitytests op basis van de OWASP Top 10 en securitycontroles in de pipeline, zodat ze bij elke wijziging meelopen en niet alleen voor een release.

AI veilig inzetten

Een agent krijgt de rechten die hij nodig heeft en niet meer. Wij ontwerpen wat een agent mag raken, in de code, op het platform en in werkprocessen. En wij testen AI-toepassingen op bekende omzeilingen, zoals prompt injection.

Toegang en classificatie van data

Wie mag welke data zien en geldt dat ook voor een tool die namens die persoon werkt? Wij richten classificatie, toegangsbeleid en masking in op het dataplatform, zodat gevoelige data niet via een AI-toepassing alsnog buiten beeld raakt.

Risico’s in werkprocessen

Veel risico zit niet in de techniek maar in gewoontes. Wij helpen afspraken vastleggen over welke tools zijn toegestaan en wat er in een model terecht mag komen. En we signaleren waar het in de praktijk anders gaat dan op papier.

Wet- en regelgeving

NIS2, de AI Act en de Cyber Resilience Act stellen eisen aan hoe je software bouwt en beheert. Wij vertalen die eisen naar ontwerp en bouw. Welke eisen voor jouw organisatie gelden, stellen jouw eigen compliance- of juridische specialisten vast. Wij bouwen volgens wat zij opstellen.

Waar onze rol ophoudt

Wij richten ons op veilige software, veilige data en veilig gebruik van AI. Infrastructuurbeveiliging en securitymonitoring doen wij niet. Daarvoor werken wij samen met de partij die dat voor jou verzorgt.

Wat dit van onze eigen mensen vraagt

Veiligheid is bij ons geen specialisme van een paar mensen. Het komt terug in de ontwikkeling en evaluatie van iedere consultant, in elke rol. Onze consultants volgen een eigen training in veilig ontwikkelen en privacy en werken volgens onze richtlijn voor AI-gebruik, aangevuld met de afspraken die we bij jou maken.

Wil je weten hoe je dit aanpakt? Lees meer over AI veilig inzetten.